Riesgos Cibernéticos · Casos con fecha y fuente
Un laboratorio dos semanas sin turnos. Una pyme de Lanús que perdió $8,7 millones en minutos. Farmacias de Mendoza sin poder aplicar descuentos. No son hipótesis: son casos con fecha y fuente, ordenados por lo que le puede pasar a una pyme, con qué control falló cuando la fuente lo dice y qué amparo del seguro responde, o si no lo cubre.
Cómo elegimos estos casos. Sólo publicamos casos que pudimos leer en un medio o en una fuente primaria, con su fecha y su enlace. La mayoría de las notas no dicen cómo entraron los atacantes: cuando la fuente lo dice, lo atribuimos a la pregunta del formulario de Sancor que corresponde; cuando no, escribimos «lo que suele fallar en estos casos» y no se lo cargamos a la víctima. Y no usamos la frase de que el 60 % de las pymes cierra a los seis meses de un ataque: no tiene fuente. Lo que el seguro cubre se explica con la cotización real en qué cubre y qué no.
Seis cosas que le pueden pasar a una pyme
Para cada una, la misma pregunta: si esto le pasa a tu empresa un lunes, quién te atiende el martes?
1 · Ransomware
Cifran los archivos y piden plata para devolverlos. En las pymes, el ransomware estuvo en el 88 % de las brechas que analizó Verizon, contra el 39 % en las grandes (Verizon DBIR 2025). Y sólo 1 de cada 3 organizaciones de 100 a 5.000 empleados logró frenar el ataque antes de que cifrara sus datos (Sophos, 2026).
El ransomware Fog cifró el servidor que compartían el Centro Rossi, Stamboulian y el Laboratorio Hidalgo. Pidieron un rescate millonario y las clínicas decidieron no pagar. A los 14 días, todos los laboratorios Hidalgo seguían sin atención y en Stamboulian sólo funcionaba la vacunación, con el laboratorio, el call center y la agenda de turnos caídos.
Fuente: La Nación, 04/12/2024.
Un ransomware encriptó los archivos de la cooperativa de servicios de Esquel, en Chubut, que quedó paralizada administrativamente dos días. Pidieron 2 bitcoins y cerraron en 0,85 bitcoins, unos $113.900 según su jefe de Sistemas. Es decir: pagaron. Es un caso de 2019, y una organización chica.
Fuente: La Nación, 29/01/2019.
El oleoducto de combustible más grande de Estados Unidos se apagó cinco días. Entraron por una cuenta de VPN que ya no se usaba pero seguía activa y no tenía segundo factor: una sola contraseña comprometida, según la firma que investigó el ataque. Pagaron un rescate de USD 4,4 millones.
Fuente: Bloomberg vía Al Jazeera, 04/06/2021.
El mayor grupo cervecero de Japón suspendió pedidos y despachos por un ransomware. Según la propia empresa, las ventas de su cervecería entre octubre y diciembre de 2025 fueron apenas algo más del 80 % de las del mismo período del año anterior (la empresa no dio un número más preciso), postergó sus resultados anuales y apunta a restaurar todos sus sistemas en Japón «durante 2026».
Fuente: Asahi Group Holdings, 26/02/2026.
2 · Datos de clientes
La Ley 25.326 obliga a quien tiene una base de datos personales a protegerla (art. 9). No hay una obligación expresa y general de avisar una filtración, pero la Agencia de Acceso a la Información Pública (AAIP) ya sancionó a una empresa por no avisar a sus clientes. Y una copia de seguridad resuelve la parálisis, no la filtración: lo que se llevaron, se lo llevaron.
El ransomware Egregor golpeó a Cencosud (Jumbo, Easy, Vea, Disco): las impresoras de locales en Argentina y Chile imprimieron la nota de rescate. Después, clientes recibieron mails de phishing (mensajes falsos que imitan a una empresa para robar datos o plata) con datos verdaderos de sus compras. La AAIP actuó de oficio y la multó con $290.000: dos infracciones graves por no tener medidas técnicas y organizativas, y dos muy graves, de $85.000 cada una, por no avisar a sus clientes que sus datos podían estar comprometidos.
Fuentes: BleepingComputer, 14/11/2020; resolución de la AAIP, 17/09/2021.
El ransomware LockBit cifró partes de los sistemas de la aseguradora rosarina y afectó el trabajo de más de 1.300 empleados. Pidieron unos USD 50 millones; la empresa dijo que no pagaría «un solo centavo». El 03/03/2023 publicaron lo robado: archivos de medicina laboral, diagnósticos, expedientes judiciales y peritajes. Es la doble extorsión: cifran y, además, amenazan con publicar.
Fuente: Ámbito, 2023.
Un grupo anunció una filtración masiva contra al menos 17 instituciones. En Mendoza, la Dirección General de Escuelas confirmó robo de datos (correos y notas) sin daño al sistema, y OSEP confirmó robo de datos filiatorios sin afectar servicios, y advirtió sobre falsos gestores. La nota habla de contraseñas robadas a usuarios infectados con programas espía. La cifra de 56 millones de datos es nacional y la dice el grupo, no las autoridades.
Fuentes: Diario UNO, 05/04/2026; Sitio Andino, 06/04/2026.
La empresa de asistencia al viajero confirmó que han sido robados datos confidenciales y publicados en Internet
: al menos 54 GB, con miles de imágenes que podían ser pasaportes o estudios médicos. Dijo que no hubo impacto en la operación ni en el servicio. La lección: tener el negocio andando no resuelve la filtración.
Fuente: La Nación, 08/06/2021.
3 · La plata
Es la estafa en la que alguien se hace pasar por un directivo o un proveedor, o le toma la cuenta de mail, y pide una transferencia. El FBI registró más de 305.000 incidentes y USD 55.500 millones de pérdidas expuestas entre 2013 y 2023 (IC3, FBI). Y acá hay que ser claros: la plata transferida no la cubre esta póliza (exclusión 3.14). Sí pueden entrar los costos forenses y legales si hubo un evento de seguridad.
Un malware en la notebook del socio gerente de esta pyme de Lanús accedió a las credenciales del banco, que estaban guardadas en la computadora. En minutos hicieron varias transferencias a siete cuentas y dejaron la cuenta en descubierto. La empresa recuperó la plata recién con una sentencia que obligó al banco a devolver unos $12 millones más intereses, más de un año después.
Fuente: Infobae, 26/05/2024.
Un empleado de finanzas recibió un mail «de la sede» pidiendo una operación reservada. Dudó, y se sumó a una videollamada con quienes creyó que eran el director financiero y sus colegas: eran imágenes generadas con inteligencia artificial. Transfirió el equivalente a USD 25,6 millones en 15 operaciones. La empresa dijo que sus sistemas no fueron vulnerados.
Fuente: CNN vía ABC17, 16/05/2024.
4 · La nube de otro
Tu empresa puede estar bien protegida y quedar parada igual, porque el sistema de facturación, de turnos o de validación es de otro. Ojo con dos cosas de la póliza: el texto general del amparo B incluye la caída de un proveedor en la nube con contrato escrito, pero depende de las condiciones particulares de cada cotización (en la nuestra quedó afuera, lo explicamos acá); y la quiebra del proveedor está excluida (3.6).
Un ransomware golpeó a este proveedor de nube y servicios gestionados en Colombia y Chile, y alcanzó a empresas argentinas, «principalmente pymes»: un fabricante de software de facturación con más de mil abonados, desarrolladoras y una empresa de sistemas de gestión. Clientes sin operar ni facturar, soporte sin responder y el temor a perder los backups, que estaban en el mismo proveedor. Una fuente dijo que pasó más de una semana sin poder restablecer el contacto con sus clientes.
Fuentes: Brodersen Dark News, 22/09/2023; Infobae, 13/09/2026.
Un ataque extorsivo contra la empresa que administra el sistema de validación de recetas dejó a farmacias de todo el país sin poder validar ni aplicar los descuentos de varias obras sociales y prepagas. Se dispensaba a mano y el paciente pagaba y pedía reintegro. Cuatro días después el problema seguía. En Mendoza, el Colegio Farmacéutico lo llamó «hackeo extorsivo» y hubo muchos reclamos.
Fuentes: Diario UNO Mendoza, 16/05/2023; iProfesional, 17/05/2023.
El gran sistema de pagos y facturación de la salud de Estados Unidos quedó caído: clínicas y farmacias no podían procesar cobros. Entraron por un portal de acceso remoto sin segundo factor, con credenciales robadas; el CEO lo admitió ante el Congreso. Costos directos de USD 2.200 millones más USD 867 millones por la interrupción, según su informe anual, y unos 190 millones de personas afectadas.
Fuentes: UnitedHealth, informe anual 2024 (SEC); HealthCare Innovation, 01/05/2024; Infosecurity Magazine.
El software de gestión que usan más de 15.000 concesionarias se apagó por un ransomware, con un segundo ataque durante la recuperación. La restauración completa llevó unas dos semanas. Es el espejo de cualquier comercio o agencia que vive de un solo sistema en la nube.
5 · Una persona
Para este escenario no tenemos un caso público verificado que podamos contar con nombre, fecha y fuente: las empresas casi nunca publican que un empleado borró la base de clientes. Preferimos decirlo antes que inventar uno.
Lo que sí sabemos: el factor humano estuvo en alrededor del 60 % de las brechas del informe de Verizon de 2025 y en el 62 % del de 2026 (Verizon DBIR 2025, 2026). Y la póliza de Sancor lo contempla expresamente: el error de operador, el borrado, la destrucción o la modificación accidental de datos o programas por un empleado, es uno de los cuatro eventos cibernéticos. Responden el amparo C (recuperación de datos, incluidas las licencias de reemplazo) y el B si el sistema queda caído más de 12 horas. El acceso de un empleado donde no debe también es un evento cubierto; el fraude de un socio o un director, no (exclusión 3.3).
Lo que suele fallar en estos casos es la copia que nadie probó (pregunta 5) y los permisos de más: el modelo de política pide crear las cuentas con el mínimo acceso necesario. Las definiciones completas, en qué cubre y qué no.
6 · La cadena
Casi la mitad de las brechas que analizó Verizon en 2026 involucró a un tercero: 48 %, un 60 % más que el año anterior; en las pymes, 55 % (Verizon DBIR 2026). Una pyme puede ser la víctima por culpa de un proveedor, o el proveedor por el que entran a un cliente grande. Por eso las empresas grandes empiezan a pedirles seguridad a sus proveedores.
Atacaron a un proveedor cordobés que digitaliza radiografías, tomografías, ecografías y análisis. Los delincuentes vendieron en foros 665.128 estudios médicos de pacientes: no cifraron nada, copiaron y pidieron dinero. Unas 30 clínicas y sanatorios de varias provincias quedaron afectados, sin haber sido atacados ellos.
Fuentes: Perfil, 04/04/2025; Segu-Info, 06/04/2025.
Un grupo usó una falla del software de gestión remota que usan los proveedores de soporte informático para atender a sus clientes, y cifró a los clientes de esos proveedores. Kaseya habló de menos de 60 clientes directos y menos de 1.500 empresas afectadas aguas abajo; hubo supermercados cerrados en Suecia y jardines de infantes en Nueva Zelanda. Pidieron USD 70 millones por un descifrador universal.
Fuente: The Record, 2021.
La producción global de la automotriz estuvo parada alrededor de cinco semanas. Casi 1.000 proveedores de primer nivel y miles más abajo quedaron afectados, con problemas graves de caja, recortes de horas y algunos despidos. El Cyber Monitoring Centre estimó el costo para la economía británica en GBP 1.900 millones, el evento cibernético más costoso registrado en ese país, y el gobierno garantizó un préstamo de GBP 1.500 millones.
Fuente: Cyber Monitoring Centre, 22/10/2025.
Para dimensionarlo
Las que se pueden rastrear hasta su origen. La mayoría son globales: de pymes argentinas casi no hay datos publicados, y lo decimos.
Sobre el rescate, la postura oficial argentina es clara: CERT.ar dice que las organizaciones nunca deberían considerar pagar, porque no garantiza recuperar los datos, puede invitar a nuevos ataques y financia actividades ilegales (CERT.ar). En la póliza, cualquier pago por extorsión requiere el consentimiento previo y por escrito de la aseguradora.
La tendencia
No es que las pymes sean «el blanco principal». Es que los atacantes no eligen por tamaño: eligen por acceso fácil. Y el acceso fácil está cada vez más barato.
Es un negocio dividido en roles: unos desarrollan el programa, otros hacen el ataque y otros venden accesos ya robados; los más vendidos son los de escritorio remoto y VPN (Kaspersky Securelist, 12/05/2026). Había 146 grupos activos a junio de 2026 (Black Kite), y en 2025 las víctimas publicadas en sitios de filtración subieron un 50 % aunque los pagos bajaron (Chainalysis).
En 2025, el 16 % de las brechas involucró inteligencia artificial del atacante: 37 % en phishing y 35 % en imágenes o voces falsas (IBM, Cost of a Data Breach 2025). Los ataques por mensaje de texto y llamada al celular tienen una tasa de clics un 40 % mayor que el phishing por mail (Verizon DBIR 2026). El caso Arup es eso.
Los terceros pasaron del 15 % de las brechas al 30 % y al 48 % en tres informes seguidos de Verizon (DBIR 2026). Y una brecha que entra por un proveedor es de las más caras y lentas de detectar: USD 4,91 millones en promedio (IBM 2025).
En el tercer trimestre de 2025, más de la mitad de los incidentes de ransomware entró por un acceso remoto comprometido (Coveware). El 54 % de las víctimas de ransomware tenía credenciales de su empresa en registros de programas que roban contraseñas (Verizon DBIR 2025). Por eso el formulario pregunta por el segundo factor tres veces.
La respuesta adulta a todo esto no es el miedo: es medirlo y repartirlo. Los 13 controles del formulario cierran las puertas más usadas, y el seguro está para el golpe que igual llega.
Preguntas frecuentes
No hay un estudio que lo respalde. La frase circula desde 2015 sin fuente, y en 2022 la National Cybersecurity Alliance de Estados Unidos, a la que se la atribuían, aclaró que no salió de su investigación, la sacó de su sitio y recomendó no seguir usándola. Lo que sí está documentado son casos concretos de parálisis: el Grupo Rossi estuvo dos semanas con laboratorios y turnos caídos, y Asahi apunta a restaurar todos sus sistemas más de un año después del ataque.
A las dos. La fiscalía especializada en ciberdelincuencia recibió 34.468 reportes de delitos informáticos en 2024, y los casos de ransomware que le llegaron fueron sobre todo de organismos públicos, salud, energía y comunicaciones, pero porque muchas pymes no denuncian. Hay casos verificados de organizaciones chicas: una pyme de Lanús que perdió $8.737.109 desde el homebanking, la cooperativa de Esquel que pagó un rescate y las pymes que no podían facturar cuando cayó su proveedor IFX Networks. Los atacantes no eligen por tamaño: eligen por acceso fácil.
CERT.ar, el equipo nacional de respuesta a incidentes, dice que las organizaciones nunca deberían considerar pagar: no garantiza recuperar los datos, puede invitar a nuevos ataques y financia actividades ilegales. Además, aunque no pagues pueden publicar lo robado, como le pasó a La Segunda Seguros en 2023. En el seguro de Riesgos Cibernéticos de Sancor, cualquier pago por extorsión requiere el consentimiento previo y por escrito de la aseguradora: no pagues nada por tu cuenta.
No. La exclusión 3.14 deja afuera la transferencia electrónica de fondos o bienes de la empresa, y la presentación de Sancor pone las transferencias fraudulentas entre lo que no cubre. Sí pueden entrar los costos forenses y legales si hubo un evento de seguridad, como un malware o un acceso no autorizado al mail. Si te pasa, llamá al banco enseguida para pedir la reversión: la pyme Quateck recuperó su plata recién con una sentencia contra el banco, más de un año después.
Depende de tu cotización. El texto general del amparo B de Sancor incluye la caída del sistema de un proveedor en la nube con el que tengas contrato escrito, pero las condiciones particulares de cada cotización pueden cambiarlo: en la nuestra, esa parte quedó afuera. Si para tu negocio es lo central, pedila expresamente al cotizar y leé esa cláusula en tu cotización: nosotros te la explicamos. La quiebra del proveedor está excluida y las redes sociales no cuentan como proveedor en la nube. En el caso IFX Networks de 2023, además, los backups estaban en el mismo proveedor que se cayó: tené una copia de tu lado.
La Ley 25.326 no tiene una obligación expresa y general de notificar una filtración, pero la AAIP ya sancionó a Cencosud en 2021 con $290.000, y $170.000 de la multa, por dos infracciones muy graves, fueron por no avisar a sus clientes que sus datos podían estar comprometidos. Antes de mandar el aviso, hablalo con la aseguradora y con un abogado: los costos de notificación y de representación legal están dentro del amparo C del seguro.
Hacé el chequeo de ciberseguridad, cargá los datos de la empresa y presentamos tu pedido a Sancor. No hay tarifa pública: el precio lo fija Sancor para cada empresa.